Уязвимость повышения уровня доступа в Mozilla через манипуляцию файлами службы поддержки обновления на Windows
Описание
Уязвимость заключается в возможности изменения злоумышленником пути к оригинальному файлу, который используется службой поддержки обновления Mozilla для выполнения изменений. Используя специальный путь в параметре callback, злоумышленник способен манипулировать файлами в каталоге установки и повысить уровень доступа, воздействуя на службу поддержки обновления Mozilla, обладающую привилегированным доступом. Для осуществления этой атаки необходим локальный доступ к системе, и она затрагивает только Windows.
Затронутые версии ПО
- Firefox ESR до версии 52.2
- Firefox до версии 54
Тип уязвимости
Повышение уровня доступа
Ссылки
- Third Party AdvisoryVDB Entry
- Third Party AdvisoryVDB Entry
- ExploitIssue TrackingPatchVendor Advisory
- Vendor Advisory
- Vendor Advisory
- Third Party AdvisoryVDB Entry
- Third Party AdvisoryVDB Entry
- ExploitIssue TrackingPatchVendor Advisory
- Vendor Advisory
- Vendor Advisory
Уязвимые конфигурации
Одновременно
Одно из
EPSS
7.8 High
CVSS3
4.6 Medium
CVSS2
Дефекты
Связанные уязвимости
The Mozilla Windows updater modifies some files to be updated by reading the original file and applying changes to it. The location of the original file can be altered by a malicious user by passing a special path to the callback parameter through the Mozilla Maintenance Service, allowing the manipulation of files in the installation directory and privilege escalation by manipulating the Mozilla Maintenance Service, which has privileged access. Note: This attack requires local system access and only affects Windows. Other operating systems are not affected. This vulnerability affects Firefox ESR < 52.2 and Firefox < 54.
The Mozilla Windows updater modifies some files to be updated by readi ...
The Mozilla Windows updater modifies some files to be updated by reading the original file and applying changes to it. The location of the original file can be altered by a malicious user by passing a special path to the callback parameter through the Mozilla Maintenance Service, allowing the manipulation of files in the installation directory and privilege escalation by manipulating the Mozilla Maintenance Service, which has privileged access. Note: This attack requires local system access and only affects Windows. Other operating systems are not affected. This vulnerability affects Firefox ESR < 52.2 and Firefox < 54.
EPSS
7.8 High
CVSS3
4.6 Medium
CVSS2